Von drahtlosen Authentifizierungsprotokollen bis hin zur Umgebung, in der das Gerät installiert ist, müssen bei der Absicherung eines 802.11-Embedded-Geräts zahlreiche Aspekte berücksichtigt werden.
Die zehn wichtigsten Aspekte beim Schutz eines 802.11-fähigen Embedded-Geräts sind:
1. Analysieren Sie die Umgebung, in der die Anwendung installiert ist.
Dieser Punkt wird leicht übersehen, ist aber grundlegend für die Anwendungssicherheit. Eingebettete Systeme werden in realen Umgebungen eingesetzt. Physische Sicherheit ist für diese Systeme von größter Bedeutung, da ein Angriff diese Geräte durch physischen Zugriff deutlich leichter kompromittieren kann. Darüber hinaus können Störungen durch andere Anwendungen im selben Bereich (insbesondere solche, die dasselbe Funkband nutzen) die Kommunikation erheblich beeinträchtigen, sodass selbst ein einfacher Mikrowellenherd zu einer effektiven Denial-of-Service-Waffe werden kann.
2. Drahtlose Netzwerke sind per Definition (theoretisch) weniger sicher als kabelgebundene Netzwerke.
In einem drahtlosen Netzwerk werden Informationen ständig an jeden mit einem Empfänger weitergeleitet. In einem kabelgebundenen Netzwerk fließen die Daten durch das Kabel, was das Abfangen deutlich erschwert. Zwar könnte ein Hacker diese Daten mit einem induktiven Sensor messen, doch handelt es sich dabei um einen wesentlich komplexeren Angriff. Zudem kann das Kabel in einem Faraday-Käfig eingeschlossen und in Beton vergraben werden. Dies ist bei drahtlosen Netzwerken nicht möglich. (Siehe Abbildung 1).
3. Verwenden Sie kein WEP.
Die WEP-Verschlüsselung (Wired-Equivalent Privacy) war die ursprüngliche Methode zum Schutz von 802.11-Netzwerken. Leider war das Protokoll fast von Anfang an angreifbar und kann heute mit frei verfügbaren Software-Tools innerhalb von Sekunden geknackt werden. Trotzdem wurde WEP auf vielen Geräten installiert und wird weiterhin verwendet. Überlegen Sie gut, bevor Sie sich mit WEP verbinden, und verwenden Sie im Falle Ihrer Entscheidung unbedingt zusätzliche Authentifizierungs- und Verschlüsselungsmethoden (siehe Punkt 6).
4. Auch WPA-TKIP ist nicht empfehlenswert.
WPA wurde als Reaktion auf die Sicherheitslücke der WEP-Verschlüsselung entwickelt und für die Verwendung mit derselben Hardware angepasst. Leider deutet alles darauf hin, dass auch WPA bald auslaufen wird. Es ist zwar nicht so anfällig wie WEP, aber neue Angriffe zeigen, dass es schwach ist und bald zusammen mit WEP verschwinden wird. Glücklicherweise wurde WPA2 als vollwertige Alternative entwickelt (wenn auch nicht hardwarekompatibel). Wenn Sie WLAN-Verschlüsselung verwenden, sollten Sie immer WPA2 wählen.
5. WLAN-Verschlüsselung (WPA, WPA2 usw.) reicht nicht aus; Sie benötigen TLS oder ein vergleichbares Protokoll.
Wichtig zu wissen ist, dass WLAN-Verschlüsselungsprotokolle Daten nur während der Übertragung zwischen Ihrem Gerät und dem WLAN-Zugangspunkt schützen. Sobald die Daten den Zugangspunkt erreichen, werden sie entschlüsselt und ungeschützt weitergeleitet. In einem privaten Firmennetzwerk mag dies kein Problem darstellen, aber wenn Ihr Gerät mit dem Internet verbunden ist, ist WPA2 nutzlos, da an dieser Stelle keine Sicherheit mehr besteht. Daher empfiehlt es sich, ein höherwertiges Sicherheitsprotokoll wie Transport Layer Security (TLS) oder Secure Shell (SSH) zu verwenden. Diese Protokolle verschlüsseln alle Daten, die von Ihrem Gerät an sein Ziel gesendet werden, unabhängig vom verwendeten Netzwerk.
6. Benötigen Sie eine Unternehmensauthentifizierung?
Die Authentifizierung ist ein oft übersehener, aber ebenso wichtiger Sicherheitsaspekt wie die Verschlüsselung. Ohne Authentifizierung könnte ein Hacker sich direkt auf Ihrem Gerät als der rechtmäßige Empfänger von Informationen ausgeben. Die Authentifizierung kann durch ein Passwort, die vorherige Weitergabe eines geheimen Schlüssels, die Verwendung integrierter Authentifizierungsfunktionen via TLS oder ähnlicher Protokolle oder durch eine Unternehmensauthentifizierung erfolgen, die einen dedizierten Authentifizierungsserver zur Überprüfung der Identität aller Geräte erfordert. Die gängigsten Authentifizierungsmethoden sind EAP-TLS und PEAP. Die Unternehmensauthentifizierung ist ein komplexes Thema, dessen Entwicklung Zeit in Anspruch nimmt, aber für bestimmte Anwendungen die einzige Option darstellt. (Siehe Abbildung 2.)
7. Wie werden Zertifikate und Schlüssel erstellt und verwaltet?
Unabhängig davon, ob Sie ein Authentifizierungsverfahren oder einen vorab vereinbarten Schlüssel verwenden, müssen Sie Ihre digitalen Schlüssel oder Zertifikate verwalten (Zertifikate werden für die Unternehmensauthentifizierung und TLS verwendet). Für maximale Sicherheit sollte jedes Gerät über ein eindeutiges Zertifikat oder einen eindeutigen Schlüssel verfügen. Sie können zwar denselben Schlüssel an alle Geräte verteilen, aber wenn ein Gerät kompromittiert wird, ist das gesamte System gefährdet. Die Verwendung desselben Zertifikats auf allen Geräten ist etwas schwieriger, da der Authentifizierungsmechanismus der Geräteadresse ein Zertifikat zuweist. In jedem Fall müssen Sie eine Methode entwickeln, um Schlüssel und Zertifikate zu verteilen und diese bei Bedarf zu aktualisieren (häufige Schlüsselaktualisierungen werden für erhöhte Sicherheit empfohlen).
8. WLAN-Sicherheitsprotokolle sind langsam und ressourcenintensiv.
Bei der Entwicklung eingebetteter Anwendungen mit Hunderttausenden von Einheiten können die Kosten pro Einheit problematisch sein. Dies bedeutet, dass Sie Kompromisse bei der Geräteperformance eingehen müssen. Bedenken Sie jedoch, dass die Verschlüsselung erhebliche Prozessorressourcen (und mitunter auch Arbeitsspeicher) beansprucht und dass WLAN-Sicherheitsprotokolle auf maximale Sicherheit ausgelegt sind, wobei die Performance eine untergeordnete Rolle spielt. Stellen Sie bei der Bewertung der Hardwareanforderungen sicher, dass diese auf das benötigte Sicherheitsniveau abgestimmt sind.
9. Wie sieht Ihre Netzwerkinfrastruktur aus?
Wenn Ihr Gerät direkt mit dem Internet verbunden ist, unterscheiden sich die auftretenden Probleme deutlich von denen in einem privaten, von Ihnen kontrollierten Netzwerk. Berücksichtigen Sie auch potenzielle Schwachstellen. Wenn beispielsweise alle Geräte über einen einzigen Zugangspunkt kommunizieren, wird dieser zum Single Point of Failure für das gesamte System und zum wahrscheinlichsten Ziel von Angriffen. Durch Redundanz in Ihrer Infrastruktur lässt sich dieses Sicherheitsproblem minimieren.
10. Vergessen Sie nicht: Das schwächste Glied in jedem Sicherheitssystem ist der Benutzer.
In jedem System ist der Benutzer mit Abstand das schwächste Glied. Zu einfache Passwörter, das Aufschreiben von Passwörtern auf Zetteln oder schlichte Unachtsamkeit sind oft die Faktoren, die einen erfolgreichen Angriff garantieren. Berücksichtigen Sie dies, um zu verhindern, dass Benutzer (einschließlich sich selbst) Probleme verursachen. Verlangen Sie regelmäßige Passwortänderungen und überprüfen Sie deren Länge (8 Zeichen sind ausreichend, aber mehr ist besser) und Inhalt (stellen Sie sicher, dass Sonderzeichen und eine Kombination aus Buchstaben und Zahlen enthalten sind). Überlegen Sie auch, wer Zugriff auf das System hat, und es ist ratsam, die Benutzerrechte einzuschränken; deshalb verfügen die meisten Betriebssysteme über verschiedene Berechtigungsstufen.
Die Verbreitung drahtloser Netzwerke schreitet voran und wird sich weiterentwickeln. Daher ist es für Hersteller unerlässlich, Hackern einen Schritt voraus zu sein, um die Sicherheit ihrer drahtlosen Netzwerke und Geräte zu gewährleisten. Indem sie diese wichtigen Tipps befolgen, können Unternehmen sicherstellen, dass ihre vertraulichen Informationen vor Angreifern geschützt sind.
Autor: Timothy Stapko, leitender Softwareentwickler und Projektmanager bei Digi International.
Über den Autor:
Timothy Stapko ist leitender Softwareentwickler bei Digi International. Stapko verfügt über mehr als 10 Jahre Erfahrung in der Softwarebranche und ist der Autor von „Practical Embedded Security“.
